ISO/IEC 27018-上海凯瑞克质量体系认证有限公司（Amtivo China）

ISO/IEC 27018

公有云个人信息保护规范

ISO/IEC 27018 遵循“谁处理数据，谁就认证”的原则，适用于在公有云环境中直接处理个人身份信息的云服务提供商，包括提供算力与存储的 IaaS、PaaS 提供商，以及提供在线办公、HR、CRM 等应用的 SaaS 服务商。通过认证，组织可展示其在云端个人信息管理方面的规范性与透明度，有助于在金融、医疗等对隐私要求较高的行业场景中建立合作信任。

联络我们获得报价

联系我们

86-21-3101-7383
contact@amtivocn.com 或者留下您的联系方式，我们的专家会在
一个工作日内联系您。

提交

ISO/IEC 27018 认证概述

ISO/IEC 27018 的全称是《信息技术 — 安全技术 — 公有云中作为个人身份信息 (PII) 处理者保护个人身份信息的实践指南》。
它是专注于公有云个人隐私保护的国际准则。在体系结构上，它并不是一个孤立的标准，而是对 ISO/IEC 27001（信息安全管理体系）的深度扩展。它针对云服务环境，为那些代表客户处理数据的云服务商（即“PII 处理者”）制定的隐私保护控制措施。

其核心原则包括：
非自愿不营销：未经客户明确同意，不得将数据用于广告或市场营销。
地理透明度：必须告知客户数据具体存储在哪个国家或地区。
数据返还与销毁：明确规定在合同结束后，如何安全地返还或彻底粉碎数据。

联络我们

ISO/IEC 27018 重点应用场景

基础架构与平台服务商 (IaaS & PaaS)
此类群体负责提供底层的计算、存储、网络资源以及数据库等开发平台。它们需要通过认证来证明其底层物理设施、虚拟化环境以及数据流转逻辑是安全的，且能有效实现数据隔离与透明化。
应用软件服务商 (SaaS)
此类群体直接面向企业或个人提供在线软件服务（如 CRM、HR 系统、云协作工具）。它们直接处理海量的最终用户敏感隐私信息，处于数据交互的最前线，因此需要通过认证来证明其数据处理活动的规范性与安全性。

Amtivo 凯瑞克的优势

信息安全与隐私管理的体系化审核能力
Amtivo 凯瑞克在信息安全与隐私管理体系审核领域具备长期经验，对组织在云环境中处理个人信息的管理要求有深入理解，为开展 ISO/IEC 27018 审核提供专业基础。
熟悉云服务常见运行模式的审核团队
审核团队了解云服务的角色分工、数据流转方式和权限管理模式，能够结合企业实际业务场景开展审核活动，使审核过程更符合云环境的运作特性。
跨区域业务与企业数字化模式的理解
Amtivo 凯瑞克在多个地区开展认证工作，对不同组织在数字化运营、数据处理、云服务采用等方面的管理需求具有实践认知，可在审核中准确理解企业的治理结构与运营方式。
稳定的服务体系与专业审核方法
审核过程基于结构化的方法开展，关注标准要求、相关记录和运行证据，以清晰、客观、一致的方式呈现体系运行情况，为企业提供可靠的审核体验。

联络我们

申请流程

步骤一

了解需求
了解企业相关体系的需求及其应用场景。
步骤二

报价及申请
根据企业具体情况提供报价，收集企业的申请表及相关资质文件。
步骤三

申请及合同评审
对企业的信息进行核实及审批，并确认专业类别、所需的审核天数、安排专业的审核员。
步骤四

一阶段审核
对企业的资质范围及认证信息进行确认，确定是否具备二阶段审核的条件。

步骤五

二阶段审核
对企业的资质范围及认证信息进行确认，确定是否具备二阶段审核的条件。 
注：如一阶段审核开具了不符合，必须整改且验证通过后才可以进行二阶段审核；如二阶段审核开具了不符合，必须整改且验证通过后才可以进入以下环节。
步骤六

报告评定及发证
通过报告评定及作出认证决定后，组织将获得相应体系认证证书。
步骤七

年度审核
每年进行一次审核，确保组织持续符合相应体系标准要求；三年到期进行再认证审核，以更新保持有效周期。
说明

上海凯瑞克质量体系认证有限公司（Amtivo China）完成评定能力范围内的ISO9001/14001/45001及其他体系关键活动包括合同评审、报告评定和认证决定（如项目超出评定能力范围由Amtivo UK/Amtivo US完成）

ISO/IEC 27018 常见问题

是否必须先通过 ISO/IEC 27001？
是的。ISO/IEC 27018 建立在 ISO/IEC 27001 的基础之上，组织需先具备符合 ISO/IEC 27001 要求的信息安全管理体系。
ISO/IEC 27018 涵盖哪些类型的数据？
覆盖云服务提供商在公有云环境中代表客户处理的所有个人身份信息（PII），包括数据的收集、存储、使用、传输、返还和删除等处理环节。
云用户（例如医院或银行）是否需要取得 ISO/IEC 27018 认证？
不需要。使用云存储数据的组织（个人身份信息控制者）通常无需自行申请此认证，而是会选择持有ISO/IEC 27018认证的云服务提供商，以确保其数据按照国际隐私标准进行管理，并建立合作信任。

编号查询证书

ISO/IEC 27018

公有云个人信息保护规范

联系我们

ISO/IEC 27018 认证概述

认证为企业带来的收益

ISO/IEC 27018 重点应用场景

基础架构与平台服务商 (IaaS & PaaS)

应用软件服务商 (SaaS)

Amtivo 凯瑞克的优势

信息安全与隐私管理的体系化审核能力

熟悉云服务常见运行模式的审核团队

跨区域业务与企业数字化模式的理解

稳定的服务体系与专业审核方法

申请流程

步骤一

了解需求

步骤二

报价及申请

步骤三

申请及合同评审

步骤四

一阶段审核

步骤五

二阶段审核

步骤六

报告评定及发证

步骤七

年度审核

说明

ISO/IEC 27018 常见问题

是否必须先通过 ISO/IEC 27001？

ISO/IEC 27018 涵盖哪些类型的数据？

云用户（例如医院或银行）是否需要取得 ISO/IEC 27018 认证？

联系我们 获得您定制的审核方案及报价

联系我们

管理体系认证

数字化与新兴技术

环境与环保认证

重点行业体系认证

企业信息

联系我们
获得您定制的审核方案及报价